SumUp

Ce qu'est SumUp

SumUp est une entreprise fintech allemande basée à Berlin qui propose l'acceptation des paiements pour les entreprises de toutes tailles. Pour les sites web, elle offre des pages de paiement hébergées et un widget de paiement par carte intégrable qui collecte les détails de carte et traite la transaction. Comme les données de carte sont saisies dans des champs contrôles par SumUp, le commerçant reste généralement hors champ pour la manipulation des numéros de carte bruts, ce qui simplifie la conformité au secteur des cartes. SumUp opère sous la réglementation financière de l'UE et est soumise à la directive révisée sur les services de paiement, connue sous le nom de DSP2. Le widget se charge depuis des domaines SumUp et dépose les cookies nécessaires au paiement et à la détection de la fraude. Comprendre quels cookies sont strictement nécessaires et lesquels requièrent un consentement est la clé d'un déploiement conforme.

Cookies et données collectées

SumUp dépose des cookies strictement nécessaires qui permettent l'accès au tunnel de paiement, identifient un comportement de site irrégulier, préviennent l'activité frauduleuse et améliorent la sécurité, et ils ne peuvent être refusés sans interrompre le paiement. Lorsqu'ils sont activés, il utilise aussi des cookies de performance et d'analyse pour comprendre comment les visiteurs utilisent le service et mesurer la vitesse des pages, et il peut déposer des cookies publicitaires à des fins marketing. Les données collectées au paiement incluent les détails de paiement, les montants des transactions, les coordonnées et des métadonnées techniques telles que l'adresse IP et les informations de l'appareil utilisées pour la prévention de la fraude. Les cookies strictement nécessaires et liés à la fraude ne nécessitent pas de consentement, mais les cookies d'analyse et de publicité si. Il est important de garder cette distinction claire dans votre bannière et votre politique de cookies. Confirmez toujours l'ensemble réel des cookies, car il peut varier selon la région et la configuration.

Implications RGPD et ePrivacy

Sous le RGPD, la base légale du traitement d'un paiement est l'exécution du contrat, car le client vous demande de prendre le paiement, tandis que la prévention de la fraude et la sécurisation de la transaction reposent sur l'intérêt légitime. Sous la directive ePrivacy, les cookies de paiement et de fraude strictement nécessaires sont exemptés de consentement, mais tout cookie d'analyse ou de publicité nécessite une acceptation préalable. SumUp agit comme sous-traitant ou, à certains égards, comme responsable indépendant des données de paiement, vous avez donc besoin de l'accord approprié et d'une compréhension claire des rôles. La DSP2 ajoute des obligations telles que l'authentification forte du client, qui interagit avec les données collectées au paiement. Vous restez responsable d'informer les clients du traitement dans votre politique de confidentialité. Garder les cookies nécessaires et optionnels clairement séparés est central pour la conformité.

Exigences de consentement et intégration CMP

Vous n'avez pas besoin de consentement pour les cookies de paiement et de fraude strictement nécessaires, le widget de paiement peut donc se charger pour permettre aux clients de payer. Vous avez besoin d'un consentement préalable pour les cookies d'analyse et de publicité, qui doivent être intégrés à votre plateforme de gestion du consentement et bloqués jusqu'à ce que le visiteur accepte la catégorie concernée. Une bonne approche consiste à laisser la fonction de paiement fonctionner tout en ne bloquant que le suivi optionnel. Votre bannière de consentement doit expliquer que certains cookies sont essentiels pour finaliser et sécuriser le paiement, et que d'autres sont optionnels. Assurez-vous qu'un refus des catégories optionnelles empêche réellement le dépôt de ces cookies. Documentez les choix de consentement afin de pouvoir démontrer la conformité à une autorité de contrôle.

Transferts internationaux de données

SumUp est une entreprise allemande et traite les données de paiement principales au sein de l'Union européenne, ce qui est favorable à la résidence des données. Toutefois, elle s'appuie sur des prestataires comprenant des partenaires de prévention de la fraude, de vérification d'identité et d'analyse, dont certains peuvent se situer hors de l'UE. Lorsque des données personnelles sont transmises à de tels prestataires dans un pays tiers, le transfert doit être couvert par une garantie appropriée telle que le cadre de protection des données UE États-Unis ou les clauses contractuelles types, accompagnée d'une analyse d'impact du transfert. Les outils optionnels d'analyse et de publicité peuvent aussi impliquer des transferts vers des pays tiers et ceux-ci sont liés au consentement. Examinez la documentation de SumUp et la liste des sous-traitants pour confirmer où vont les données. Consignez les garanties dans votre registre des traitements et votre politique de confidentialité.

Étapes pratiques de conformité

Commencez par mettre en place les bonnes conditions de traitement des données avec SumUp et examinez sa liste de sous-traitants et ses garanties de transfert. Configurez votre plateforme de gestion du consentement afin que les cookies de paiement et de fraude strictement nécessaires fonctionnent tandis que les cookies d'analyse et de publicité sont bloqués jusqu'au consentement. Mettez à jour votre politique de confidentialité et votre politique de cookies pour expliquer le traitement des paiements, les bases légales du contrat et de l'intérêt légitime, et les cookies optionnels fondés sur le consentement. Définissez des durées de conservation des données de transaction respectant les règles de tenue des registres financiers et appliquez la minimisation des données ailleurs. Mettez en œuvre l'authentification forte du client requise par la DSP2 et assurez-vous que votre tunnel de paiement la prend en charge. Réalisez une analyse d'impact du transfert pour tout prestataire hors UE et, lorsque le risque est important, une analyse d'impact relative à la protection des données. Enfin, gardez votre documentation alignée sur la configuration en production.